Microsoft выкатила внеплановый патч Windows: чистит сертификаты eMudhra

⚡ Главное за 5 секунд

• Microsoft выпустила out-of-band обновление Windows — не срочный фикс бага, а обновление списка доверенных сертификатов (CTL).
• Достаётся Windows 11, Windows Server 2025 и Windows 10: тем машинам, что не могут достучаться до сервиса сертификатов Microsoft или отключили автообновление списка.
• Внутри лежит всё из патча 13 октября — вместе с его известными багами: VPN, Smart App Control, звук и RDP для неадминов. Их не починили.

🔍 Что случилось

26 октября Microsoft выкатила внеплановый апдейт, который вычищает из доверенного списка Windows семь сертификатов: шесть корневых eMudhra G3 и кросс-подпись AAA Certificate Services. Причина — компрометация приватных ключей индийского удостоверяющего центра eMudhra, случившаяся ранее в октябре.

Сам CTL — это список, по которому Windows решает, верить сертификату или нет. Обычно он подтягивается по сети через сервис Microsoft. Если машина в закрытом контуре или автообновление списка выключено, она остаётся со старым набором корней. А тогда приложение или сайт может отвалиться на проверке сертификата — и не потому, что сломалось, а потому, что система держит в доверенных того, кому верить уже нельзя. Отдельно Microsoft выпустила CRLSet для Edge и WebView2.

Есть и второй слой. В патч входит всё из обновления 13 октября, а там хватает известных проблем: с VPN, с изменением, которое может уронить on-premises Exchange Server, со Smart App Control, со звуком и с Remote Desktop для пользователей без прав админа. В этом релизе их не правили — Microsoft прямо предупреждает учитывать это при установке.

🧠 Наш разбор

Обычно out-of-band патч значит «мы сами что-то сломали и горит». Здесь по-другому: сломали не в Редмонде, а в чужом удостоверяющем центре. Наша оценка — это редкий случай, когда Microsoft тратит внеплановый релиз на чужую аварию, а не на свою. И это логично: доверие к сертификатам — фундамент, на нём держится всё от банковских приложений до корпоративных VPN.

Для админа вопрос звучит не «ставить или нет», а «а надо ли вообще». Большинство домашних и офисных машин получает CTL автоматически и этот пакет не заметит. А вот изолированный стенд, заводской терминал или машина с выключённым автообновлением списка — как раз целевая аудитория. Мы считаем, что именно там и стоит ставить, но с оговоркой: сначала проверьте, не сидите ли вы на Exchange или на VPN-клиенте из списка пострадавших.

Кто выигрывает? Индийский CA уже проиграл — его корни вылетели из доверия Windows, а это долгий и дорогой путь назад. Пользователи выигрывают в безопасности и проигрывают в стабильности, потому что вместе с сертификатами приехали чужие баги. Компромисс так себе, но альтернатива хуже: оставить в доверенных ключи, которые кто-то уже скомпрометировал.

⚠️ Чего мы не знаем

В тексте нет ни номеров KB, ни сборок, ни полного списка затронутых иерархий — только счёт: шесть корней eMudhra G3 плюс одна кросс-подпись AAA. Нет и оценки, сколько устройств реально сидит без доступа к сервису CTL. Материал у The Register опирается на цитату Microsoft, но самих документов поддержки в поводе нет. Перед установкой сверьтесь с каталогом обновлений Microsoft и разделом известных проблем — это единственный надёжный способ понять, ваш ли это случай.

Прогноз: в течение квартала Microsoft выкатит отдельный фикс для VPN и Exchange-изменения из патча 13 октября — иначе корпоративные админы просто перестанут ставить обновления пачками.

Источник: The Register